浏览器地址栏里那个小锁图标，网站点开能看到一串英文——TLS 1.3、网站AES-256、网站ECDHE。网站大多数人扫一眼就关了。网站但去年有个做独立博客的网站朋友，图省事没续SSL证书，网站结果Chrome直接给访问者弹了红色警告页，网站流量三天掉了七成。网站他以为是网站内容出了问题，折腾一周才发现是网站证书过期。

SSL证书干的网站事其实不复杂。它像给网站贴了一张防伪封条，网站同时配一把只有服务器和浏览器知道的网站临时钥匙。你填的网站密码、信用卡号，在传输过程中被这把钥匙搅成乱码。中间有人想截，拿到的是废数据。没有这张封条，数据就是明信片，谁经手都能看。

很多人把SSL和HTTPS混着说。严格讲，SSL是早期协议，现在实际跑的是它的升级版TLS。只是叫顺嘴了，证书颁发机构也还沿用SSL这个说法。你买证书的时候，没人会纠正你“其实你要买的是TLS证书”。

证书分三种验证级别。DV最便宜，甚至免费，Let‘s Encrypt就发这种。它只证明你控制这个域名，不查你是谁。OV要查企业注册信息，EV查得更细，以前浏览器还会把公司名显示在地址栏绿色区域，后来Chrome取消了这待遇。对普通博客和展示站，DV够用。但如果你做电商，客户看到结账页只有小锁没有公司名，心里会打鼓。这不是技术问题，是心理问题。

我见过一个做手冲咖啡器具的小店，换了EV证书后客单价涨了18%。老板自己都说不清为什么，只觉得“客人问东问西的少了”。信任这东西，有时候就藏在那把锁的颜色里。

申请流程比想象中简单。在服务商后台填域名，选验证方式。DNS验证最省事，加一条TXT记录，等几分钟。文件验证要往网站根目录传个指定文件。都通不过的话，说明你对域名的控制权有问题，先解决那个。

证书装好不是一劳永逸。Let’s Encrypt的证书90天过期，得设自动续期。商业证书一般一年，到期前服务商会发邮件。但邮件可能进垃圾箱，或者你换了邮箱没更新。最稳妥的办法是设个日历提醒，提前两周手动检查。别笑，我见过太多人栽在这上面。

还有一个坑：混合内容。网站主页面是HTTPS，但里面引用了HTTP的图片或脚本。浏览器会认为页面不安全，小锁可能变灰或者带警告三角。打开开发者工具，Console里会列出来。把那些资源链接改成HTTPS或者相对路径就行。WordPress站点尤其常见，插件里塞的老链接一抓一个准。

性能方面，TLS握手确实增加延迟。但TLS 1.3把握手压缩到一次往返，配合会话恢复，实际感知很小。Cloudflare这类CDN还会在边缘节点帮你终结TLS，回源走内部高速通道。除非你做高频交易，否则那点延迟不值得纠结。

要不要上HSTS？如果确定所有子域名都支持HTTPS，可以加这个响应头。它告诉浏览器以后只走HTTPS，连尝试HTTP都不试。但加之前想清楚，子域名里要是有个老系统只支持HTTP，加了HSTS就等于把它屏蔽了。撤回来很麻烦，得等浏览器缓存过期。

最后说个观察。很多站长把SSL当成应付浏览器警告的差事，装完就不管了。但那张证书其实在替你说话——告诉访问者这个网站有人维护，数据不会被随便翻看。成本一年几十块，或者零。这点投入换来的信任，比在关于页面写十句“我们重视您的隐私”都管用。